# dt-sec-ioc-hunting

Ищет индикаторы компрометации из отчётов и адвизори в логах и спанах Dynatrace и считает оценку подверженности угрозе от 0 до 100.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 1000 установок · ★ 167
- Автор: Dynatrace
- Лицензия: Apache-2.0 · policy=mirror · лицензия открытая, файл — в исходнике
- Исходник: https://github.com/Dynatrace/dynatrace-for-ai/tree/HEAD/skills/dt-sec-ioc-hunting/SKILL.md
- Обновлён: 2026-10-23
- HTML: https://affpapa.org/nevibecode/skills/dt-sec-ioc-hunting

## Что делает

Скилл принимает индикаторы из неструктурированного текста: IP, домены вместе с именами хостов, URL, адреса электронной почты, CVE, хеши файлов (md5, sha1, sha256) и техники MITRE. Дальше он нормализует их и ищет в `fetch logs` и `fetch spans`. На выходе — наборы совпавших наблюдений и оценка подверженности угрозе по шкале от 0 до 100.

Перед запуском скилл загружает `dt-dql-essentials`, потому что все шаблоны охоты опираются на синтаксис DQL из него. Запросы берутся из проверенных шаблонов, менять разрешено только массивы IoC и временное окно. Большие списки индикаторов дробятся на части: по умолчанию 25 штук, для длинных URL, адресов и хешей — 10. Вывод агрегируется по сущностям, а не по отдельным записям.

CVE и техники MITRE в логи и спаны не уходят — там для них нет полей, их маршрутизируют в `dt-sec-insights`. Адреса электронной почты и хеши файлов ищутся только в логах. Для незакреплённых охот окно по умолчанию — `from:now()-30m`; при превышении лимита времени скилл сам повторяет попытку на 15 и 5 минутах. Если и на 5 минутах таймаут, результат помечается как INCONCLUSIVE, а не как отсутствие совпадений. Это стоит держать в голове: пустой ответ в узком окне не значит, что угрозы нет.

## Требования
- Работает с: Dynatrace

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add Dynatrace/dynatrace-for-ai --skill dt-sec-ioc-hunting -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/dt-sec-ioc-hunting/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/dt-sec-ioc-hunting/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add Dynatrace/dynatrace-for-ai --skill dt-sec-ioc-hunting -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/dt-sec-ioc-hunting/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add Dynatrace/dynatrace-for-ai --skill dt-sec-ioc-hunting -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/dt-sec-ioc-hunting/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install Dynatrace/dynatrace-for-ai dt-sec-ioc-hunting
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/dt-sec-ioc-hunting/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add Dynatrace/dynatrace-for-ai --skill dt-sec-ioc-hunting -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/Dynatrace/dynatrace-for-ai --path skills/dt-sec-ioc-hunting
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/dt-sec-ioc-hunting/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add Dynatrace/dynatrace-for-ai --skill dt-sec-ioc-hunting -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/Dynatrace/dynatrace-for-ai/tree/HEAD/skills/dt-sec-ioc-hunting/SKILL.md

## Когда брать
- извлечь индикаторы компрометации из текста адвизори и нормализовать их
- проверить, встречаются ли подозрительные IP и домены в логах и спанах
- сопоставить CVE из отчёта с уязвимостями в окружении
- получить оценку подверженности угрозе по шкале от 0 до 100
- найти вторичные IP в заголовках прокси и релеев среди совпавших записей

## Примеры запросов агенту
- проверь эти индикаторы в моих логах и трейсах
- извлеки IoC из этого адвизори и найди их в окружении
- есть ли в моих логах эти хеши, домены и IP

## Похожие
- [Dynatrace Expert](https://affpapa.org/nevibecode/agents/dynatrace-expert.md) — субагент · ★ 40418
- [dtctl](https://affpapa.org/nevibecode/skills/dtctl.md) — скилл · 1300 установок
- [threat-hunting](https://affpapa.org/nevibecode/skills/threat-hunting.md) — скилл · 333 установки
- [threat-detection](https://affpapa.org/nevibecode/skills/threat-detection.md) — скилл · 637 установок
- [recon-for-sec](https://affpapa.org/nevibecode/skills/recon-for-sec.md) — скилл · 3700 установок
- [auth-sec](https://affpapa.org/nevibecode/skills/auth-sec.md) — скилл · 3700 установок

Из того же набора: [dynatrace/dynatrace-for-ai](https://affpapa.org/nevibecode/by/dynatrace/dynatrace-for-ai.md) — 29 карточек

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md